Kwetsbaarheid reden om te upgraden naar Exchange 2010?

Als je het aan beheerders of ICT managers vraagt, dan weet iedereen wel dat nieuwere software doorgaans veiliger is dan oude software. Maar wat betekent dat nu concreet? Een mooi praktijkvoorbeeld is een probleem wat vorig jaar ontdekt werd in Outlook Web Access van Exchange 2003 en Exchange 2007. Een security specialist ontdekte dat wanneer een OWA gebruiker op een bepaalde link klikt, een externe de OWA sessie van gebruiker over kan nemen. Hoe werkt dat? Simpel gezegd als volg:

• Maak een webpagina en plaats daar een link op
• Zet in de link een opdracht die bijvoorbeeld een auto-forward rule in OWA instelt
• Haal een OWA gebruiker over om op de link te klikken

Omdat OWA niet controleert waar de opdracht vandaan komt zal hij keurig een berichtregel aanmaken die alle inkomende mail naar een mailbox van de hacker doorstuurt. Deze ‘hack’ is zeer eenvoudig uit te voeren en heeft in potentie grote impact.

De fout werd aan Microsoft gemeld in september 2009, dat was nog net op tijd om een oplossing in te bouwen in Exchange 2010 waardoor deze niet meer kwetsbaar is voor deze hack. En deze oplossing is ook terecht gekomen in Exchange 2007 SP3 welke daarna werd uitgebracht. Maar Exchange 2003 en Exchange 2007 SP1 en SP2 zijn dus nog steeds kwetsbaar.

En nu? Mogelijke workarounds zijn beperkt en komen er op neer dat je berichtregels via OWA of het hele OWA Opties-paneel uitschakelt. Hiermee kan een hacker de instellingen niet meer veranderen maat het zelfde geldt voor de gebruiker zelf. De enige echte oplossing, zonder negatieve impact voor de gebruiker, is upgraden naar Exchange 2007 SP3 of Exchange 2010. Voor organisaties met Exchange 2003 kan dit wel eens een sterk argument zijn om vaart te maken met een upgrade naar Exchange 2010.

Wie meer wil lezen over dit issue kan een blik werpen op Microsoft Security Advisory 2401593.

Outlook 2007 en toegang tot het Exchange 2010 Personal Archive

Het Personal Archive is één van de killer features van Exchange 2010. Tenminste, dat was de eerste indruk die we allemaal kregen toen Exchange 2010 aangekondigd werd. Maar in de aanloop naar Exchange 2010 bleek al snel dat hier een addertje onder het gras zat, je kunt het Personal Archive alleen benaderen met Outlook 2010 of met Outlook Web App. En dat is jammer, want de realiteit is dat veel bedrijven minimaal één maar vaak zelfs meerdere generaties van Office achterlopen. Daar kunnen allerlei redenen voor zijn, maar een aantal argumenten zie ik steeds terug komen.

• Kosten

Een Office suite kost geld en als je geen doorlopende contractvorm (bijvoorbeeld Software Assurance) hebt dan mag je de portemonnee trekken om licenties voor de nieuwe versie aan te schaffen. En als het dan om enkele duizenden gebruikers gaat dan praten we al snel over een forse investering. Het getuigt misschien niet van goed plannen en vooruit denken, maar vaak zie ik dat men deze investering nog liever een jaartje vooruit wil schuiven.

• Afhankelijkheden

Net als een ongeluk, komt Office zelden alleen. Om echt het onderste uit de kan te halen worden templates gemaakt die bijvoorbeeld standaardbrieven genereren of een bepaalde huisstijl afdwingen. En dan hebben we nog allerlei plug-ins, bijvoorbeeld voor de koppeling met een ERP systeem of toegang tot een archiveringsoplossing. Al deze templates, macro’s en 3rd party add-ons moeten stuk voor stuk getest worden op compatibiliteit met de nieuwe versie van Office. Niet zelfden steekt de leverancier van deze plug-in een stokje voor de upgrade door de nieuwe versie niet te kunnen of willen ondersteunen.

• Verandering

De wereld verandert en de Office suite ook. De ontwikkelaars staan niet stil en elke versie brengt nieuw slimme functionaliteit of juist een aangepaste interface om een beetje overzicht terug te brengen in al die mogelijkheden. Bij bedrijven zie ik vaak een sterke weerstand tegen verandering, vooral als het om de interface gaat dan vreest men voor massaal vastlopende gebruikers. Deels is die vrees wel terecht, niet iedereen omarmt de nieuwe versie en gaat enthousiast op zoek naar vernieuwingen. Maar juist daar kan een stukje training veel goeds doen, bereid mensen voor op de nieuwe versie en zorg dat ze ook op de bewuste maandag in ieder geval hun dagelijkse werkzaamheden uit kunnen voeren. Mijn persoonlijke ervaring is dat het gros van de gebruikers, ook degenen die eerst hun hakken in het zand hadden gezet, al na een paar dagen niet meer beter weten en zelfs niet meer terug willen naar de oude versie.

En met Exchange?

Ook in de wereld van Exchange komt met iedere generatie nieuwe functionaliteit mee, en voor een deel van die nieuwe functionaliteit heb je een recente versie van Outlook nodig. En zo komen we weer terug op het Personal Archive, waar we alleen gebruik van kunnen maken met Outlook 2010 of OWA. Microsoft ontdekte zelf al vrij snel dat bedrijven relatief makkelijk overstappen naar Exchange 2010 maar dat het veel lastiger is om ook op Office 2010 te komen. Een groot aantal klanten plant een upgrade naar Office 2007 maar zien geen kans om direct naar Office 2010 te gaan, of werkt voorlopig nog gewoon verder met Office XP (2002), 2000 of zelfs 97.

Goed nieuws dus dat Microsoft in April 2010 (Exchange 2010 was toen al 5 maanden uit) aankondigde dat met de komst van SP1 voor Exchange 2010 ook een update voor Outlook 2007 verwacht werd waarmee je het Personal Archive kunt benaderen. Dikke pech voor klanten met Outlook 2003 maar in ieder geval een mooi vooruitzicht voor klanten die al wel op Office 2007 zaten. Ook voor een aantal van mijn klanten woog deze aankondiging mee om toch alvast te starten met de upgrade naar Exchange 2010, want een traject voor Office 2007 was ook al in gang gezet.

Inmiddels is het eerste service pack voor Exchange 2010 uitgebracht maar blijft het stil rond Outlook 2007 en het Personal Archive. Microsoft heeft inmiddels aangekondigd dat de Personal Archive update voor Outlook 2007 ‘in de eerste helft van 2011’ uit gaat komen. Let wel, dat is dus anderhalf jaar nadat Exchange 2010 gelanceerd werd! Al met al lijkt de geschiedenis zich te herhalen, ik moet denken aan de Exchange 2007 backup plugin voor Server 2008 maar ook aan de aangekondigde Exchange 2007 support voor Server 2008 R2, waarbij klanten alleen nog even hoefden te wachten op het volgende service pack…

Graag zou ik de beslissers bij Microsoft willen uitnodigen om eens een jaartje in het veld te komen werken. Kom maar eens praten over het Nieuwe Werken en verhoogde productiviteit bij de gemeente, het productiebedrijf of de zorginstelling waar ik mag komen praten over Exchange. En hopelijk worden dan wat meer mensen ingezet op het bedienen van bestaande klanten, bedrijven die een paar jaar geleden hebben geïnvesteerd in nieuwe techniek. In plaats van wat nu steeds lijkt te gebeuren: 99% van Microsoft werkt aan vNext terwijl slechts 1% zich bezig houdt met vVorig of vOud.

Dus, bedrijven met Outlook 2007 en Exchange 2010: nog even geduld tot volgend jaar. Of toch maar upgraden naar Office 2010 misschien…?

Android ‘Froyo’ heeft problemen met Exchange 2010 SP1

Verschillende Exchange-beheerders melden de afgelopen dagen problemen met het synchroniseren van bepaalde mobiele toestellen. Het gaat dan specifiek om Android telefoons welke draaien op versie 2.2 en wel buildnummer FRG22D. Bij deze toestellen lukt het niet meer om te synchroniseren met de mailbox wanneer Exchange 2010 SP1 gebruikt wordt.

Inmiddels is het probleem bekend bij Microsoft en bij de telefoonleveranciers maar een oplossing is nog niet voor handen. Wanneer je denk dat dit issue ook jouw gebruikers kan treffen dan heb je de volgende mogelijkheden:

• Stel de upgrade van Exchange 2010 naar Exchange 2010 SP1 nog even uit.
• Let op voor de Android update met buildnummer FRG22D, het gaat om deze download maar providers kunnen hem ook over-the-air naar je device sturen.

Wanneer je al wel getroffen bent door dit probleem, dan kun je als laatste work-around nog eens kijken naar TouchDown van NitroDesk. Van deze Exchange client kun je een probeerversie downloaden die 30 dagen te gebruiken is.

Wanneer er meer nieuws is dan lees je het hier.

Wat is een *over?

De term *over kom je ander andere tegen in de Exchange 2010 documentatie op TechNet en in andere artikelen van het Exchange-team, bijvoorbeeld op het officiële Exchange team blog. Wat hier mee bedoelt wordt is een failover of een switchover. Een failover is de gebeurtenis waarbij een Exchange-database automatisch actief wordt op een andere server als gevolg van een storing. Bij een switchover gebeurt het zelfde maar dan omdat een beheerder hiertoe opdracht gegeven heeft.

Zo, nu weet je wat een *over betekent: failover of switchover.

Exchange 2010 SP1 is uit!

Zojuist heeft Microsoft de definitieve versie van het eerste service pack voor Exchange 2010 uitgebracht. Downloaden doe je hier, informatie over ‘wat is nieuw?’ kun je hier lezen. Lees in de Releese Notes een aantal belangrijke zaken die je moet weten voor je SP1 installeert.

Wanneer je de Setup start wordt eerst gecontroleerd of de server aan alle eisen voldoet. De kans is groot dat je meerdere hotfixes moet downloaden om door te kunnen gaan. Op deze pagina vind je een overzicht van alle hotfixes die nodig kunnen zijn.

Outlook 2010 gebruiken naast een oudere versie van Office?

In verband met Exchange 2010 zie ik steeds meer bedrijven die snel naar Outlook 2010 toe willen, maar nog niet klaar zijn om hun hele Office suite te vervangen. Dat is ook wel begrijpelijk, er gaat soms veel tijd zitten in het testen van macro’s en templates en al helemaal als je afhankelijk bent van leveranciers. Toch wil men het liefst Outlook 2010 uitrollen omdat je hiermee de meeste nieuwe functionaliteit van Exchange 2010 kunt benutten.

Een interessante optie is om eens te kijken naar het uitrollen van Outlook 2010 terwijl je de oudere versies van Word, Excel en dergelijke op de computer geïnstalleerd staat. Kan dat dan? Ja, maar… Om te beginnen is Outlook 2010 voor een aantal taken afhankelijk van Word 2010. In het artikel Using Outlook 2010 with or without Word 2010 installed kunnen we lezen wat er voor de gebruiker verandert als Word 2010 niet op het systeem is geïnstalleerd:

Feature	Without Word 2010 installed	With Word 2010 installed
Message thread shading in open messages and the Reading Pane	Yes	Yes
Panning through messages on Tablet PCs	Yes	Yes
Search results highlighting for Instant Search	Yes	Yes
New and improved fonts	Yes	Yes
Smart tag recognition	Yes	Yes
New Save as options	Yes	Yes
Quick Styles gallery	Yes	Yes
Themes	No	Yes
Automatic formatting of bulleted and numbered lists	No	Yes
Automatic formatting of tables	No	Yes
Proofing tools like the dictionary and thesaurus.	No	Yes
SmartArt graphics drawing, charting, and diagramming tools	No	Yes
Captions	No	Yes
Equation Builder	No	Yes
WordArt	No	Yes

Voor de meeste gebruikers zullen deze beperkingen wel overkomelijk zijn, functioneel is Outlook 2010 zonder Word 2010 dus niet zo’n probleem. Maar dan is er nog de technische kant, ook hier zitten een aantal haken en ogen aan. Zo kan er bijvoorbeeld maar één versie van Outlook op de pc geïnstalleerd worden, zodra je Outlook 2010 installeert dan zal die eerst de oudere versie van Outlook verwijderen. Verder is het belangrijk om te weten dat alleen de 32-bits versie van Office 2010 compatible is met een oudere versie van Office. Meer informatie in over de technische kant lees je in het volgende knowledge base-artikel: Information about how to use Office 2010 suites and programs on a computer that is running another version of Office.

Hoewel het technisch mogelijk is om Outlook 2010 naast een oudere versie van Office te draaien en dit ook door Microsoft ondersteund wordt, raad Microsoft het niet aan. Mocht je deze oplossing toch overwegen, onderzoek dan eerst of er alternatieven zijn.

ADMT versie 3.2

De nieuwste versie van de Active Directory Migration Tool (ADMT) is versie 3.2. Deze versie ondersteunt Windows Server 2008 R2 en de nieuwe ‘managed service accounts’. Je vindt de download hier en de bijbehorende ADMT Migration Guide hier.

Im- en exporteren naar PST met Exchange 2010 SP1

Eén van de populairste tools voor beheerders van Exchange was toch altijd wel Exmerge. Exmerge was tot en met Exchange 2003 de aangewezen tool om mailboxdata te exporteren naar een PST-file, importeren naar een mailbox of om zelfs data te verwijderen uit mailboxen. Bij Exchange 2007 kwamen hiervoor de cmdlets Import-Mailbox en Export-Mailbox in de plaats. Veel beheerders moesten wennen aan het feit dat er geen grafische schil meer was en dat je bovendien nogal wat componenten op je werkplek moest installeren om de boel aan het werken te krijgen. Toen Exchange 2010 net uit kwam werd het verhaal nog ietsje slechter, nu had je ook nog een 64-bits versie van Outlook 2010 nodig. Probleem was dat die nog helemaal niet beschikbaar was op dat moment.

Hoe werkt het in Exchange 2010 SP1?

Exchange 2010 SP1 vereist niet langer een aparte tool (Exmerge) of versie van Outlook voor deze taken, de code die hiervoor noodzakelijk is zit nu in Exchange ingebakken. De nieuwe cmdlets New-MailboxExportRequest en New-MailboxImportRequest verklappen als dat er onder de motorkap het één en ander veranderd is. Met deze cmdlets zet je een verzoek om een export of import uit te voeren klaar, waarna de Mailbox Replication Service het verzoek oppakt en uitvoert. Qua werking en beheer is dus gelijk aan het werken met move requests.

Hoe pakken we dat aan?

RBAC, om te beginnen. Standaard is de rol Mailbox Import Export niet aan een rolgroep toegewezen, dat moeten we dus eerst regelen. In dit voorbeeld wijs ik de rol direct toe aan een gebruiker:

New-ManagementRoleAssignment -Role "Mailbox Import Export" -User AdminExchange

Als we nu een nieuwe Exchange Management Shell openen dan valt opdat we een aantal extra cmdlets tot onze beschikking hebben, kijk maar eens:

Get-ExCommand *mailboxexport*,*mailboximport*

De nieuwe cmdlets zijn:

Get-MailboxExportRequest
Get-MailboxExportRequestStatistics
Get-MailboxImportRequest
Get-MailboxImportRequestStatistics
New-MailboxExportRequest
New-MailboxImportRequest
Remove-MailboxExportRequest
Remove-MailboxImportRequest
Resume-MailboxExportRequest
Resume-MailboxImportRequest
Set-MailboxExportRequest
Set-MailboxImportRequest
Suspend-MailboxExportRequest
Suspend-MailboxImportRequest

Als we eens kijken naar het maken van een move request, dan moeten we minimaal opgeven welke mailbox we willen exporteren en waar we het bestand willen plaatsen. Bijvoorbeeld:

New-MailboxExportRequest -Mailbox Jan@domain.nl -FilePath \\Server\share\jan.pst

De -Mailbox parameter accepteert een alias, display name of een SMTP adres.  De parameter -FilePath verwacht een pad in UNC formaat. Let goed op met die laatste, zorg dat de security group Exchange Trusted Subsystem lees- en schrijfrechten heeft op de share.

Nog een voorbeeld:

New-MailboxExportRequest -Mailbox Henk@domain.nl -FilePath \\Server\share\henk.pst -Archive

Met bovenstaande regel exporteren we het Personal Archive van deze gebruiker naar een PST bestand. Andersom kan natuurlijk ook:

New-MailboxImportRequest -Mailbox Joke -FilePath \\Server\share\joke.pst -Archive

Met deze regel wordt het PST bestand rechtstreeks in het Personal Archive van gebruikster Joke geplaatst.

Ten slotte

In de publieke Beta van Exchange 2010 SP1 kan hier of daar nog wel een bugje zitten, maar in dit artikel kun je in ieder geval lezen wat je mag verwachten van het importeren en exporteren van mailboxen in Exchange 2010 SP1. Wanneer dit service pack beschikbaar is heeft Microsoft nog niet bekend gemaakt.

Exchange 2007 SP3 installeren op SBS 2008 of EBS 2008 servers

Onlangs schreef ik over het derde Service Pack voor Exchange 2007. Beheerders van Small Business Server 2008 (SBS) of Essential Business Server 2008 (EBS) zullen ze zich afvragen of zij deze ook op hun servers mogen installeren. Dat mag, maar let wel op de procedure die beschreven staat in de volgende knowledge base artikelen:

How to install Exchange Server 2007 SP3 on a computer that is running Windows SBS 2008

How to install Exchange Server 2007 Service Pack 2 and Service Pack 3 on servers that are running Windows Essential Business Server 2008

Exchange 2007, toch nog een Service Pack?

Onlangs bracht Microsoft het derde Service Pack voor Exchange 2007 uit. Dat is een mooi moment om eens even stil te staan bij het verschijnsel Service Pack, en wat voor rol die spelen bij Exchange.

Service Packs voor Exchange

Iedere beheerder van Microsoft producten, maar ook bijna iedere thuisgebruiker is wel bekend met het fenomeen Service Pack. Een Service Pack (SP) is een verzameling updates welke in één keer aan een product toe worden gevoegd, het gaat dan niet alleen om het oplossen van problemen maar ook om het toevoegen van functionaliteit.

In de wereld van Exchange zien we Service Packs die een editie weer up-to-date maken met de laatste ontwikkelingen, dit geldt vaak voor het laatste Service Pack wat voor een editie wordt uitgebracht. Maar een Service Pack kan ook gewoon de functionaliteit bevatten waar geen tijd meer was om het nog in de RTM versie te kunnen stoppen.

Welke SP’s zijn er tot nu toe uitgebracht?

Editie	Service Packs
Exchange 4.0	SP1, SP2, SP3, SP4 en SP5
Exchange 5.0	SP1 en SP2
Exchange 5.5	SP1, SP2, SP3 en SP4
Exchange 2000	SP1, SP2 en SP3
Exchange 2003	SP1 en SP2
Exchange 2007	SP1, SP2 en SP3

De eerste 5 SP’s zijn nog binnen twee jaar uitgebracht, maar tegenwoordig kan er wel bijna een jaar tussen het uitbrengen van een SP zitten. Gelukkig maar, want dat maakt het voor ons ICT-ers ook wat makkelijker om te plannen.

Wat niet veel mensen weten trouwens, is dat Service Packs sinds Exchange 2007 eigenlijk gewoon een volledige versie van het product zijn. De download van zo’n SP kun je dus niet alleen gebruiken om een bestaande installatie te upgraden, maar ook om een nieuwe server te installeren. Denk daar nog eens aan als je Exchange wilt installeren en alleen een licentiecode hebt maar geen dvd. :-)

Exchange 2007 Service Pack 3

Laten we eens kijken naar het 3e Service Pack voor Exchange 2007, wat onlangs uitgekomen is. Met al die aandacht voor Exchange 2010 zou je haast wel eens vergeten dat duizenden bedrijven, soms zeer grote, Exchange 2007 omgevingen hebben draaien. Sterker nog, er worden dagelijks niet Exchange 2007 omgevingen gebouwd of uitgebreid.

Server 2008 R2 en Windows 7

Met name voor die laatste categorie is dit Service Pack interessant en komen we gelijk bij de belangrijkste vernieuwing. SP3 voegt namelijk ondersteuning toe voor Windows Server 2008 R2 en Windows 7. Bij die eerste gaat het dan natuurlijk om het besturingssysteem waarop je Exchange 2007 SP3 kunt installeren, bij die laatste gaat het om het kunnen installeren van de Exchange 2007 Management Tools op je beheerwerkplek.

Let wel even op, je kunt Exchange 2007 SP3 niet installeren op een server die ge-upgrade is van Server 2008 naar Server 2008 R2, ook kun je een Exchange server op Server 2008 niet upgraden naar Server 2008 R2. De zelfde restricties gelden voor Windows 7, alleen installeren op een computer die schoon geïnstalleerd is.

En verder?

OWA gebruikers konden al hun wachtwoord wijzigen, maar pas nadat ze ingelogd zijn. Dat inloggen lukt niet als je wachtwoord verlopen is en daar brengt SP3 wat nieuws voor. Als een gebruiker in probeert te loggen met een verlopen wachtwoord, zal de CAS rol dat bemerken en de gebruiker doorsturen naar een aparte site waar hij eerst zijn wachtwoord kan veranderen.

Verder worden de zoek- en indexingfunctionaliteit vervangen door een nieuwe versie en wordt het Active Directory Schema aangepast voor 8 UM attributen. O ja, als je een Transport Rule gebruikt om een disclaimer toe te voegen dan kun je dat nu ook in een taal doen die van rechts naar links gelezen wordt.

Installatie

Voor wie eerder Exchange 2007 of een SP geïnstalleerd heeft, zal de procedure van SP3 geen verassing zijn. Zowel voor een schone installatie als een upgrade is de procedure ongewijzigd. Lees in ieder geval eerst de release notes voordat je aan de installatie begint, hier staat veel waardevolle informatie in.

Meer informatie

De Exchange 2007 Release Notes kun je hier downloaden. Het TechNet artikel waar je bovenstaande informatie nog eens kunt nalezen staat hier. O ja, en de download natuurlijk, die vind je hier.